Claude Google Workspace SSO設定 — SAMLとSCIM自動プロビジョニングの手順
Google WorkspaceをIdPにしたClaudeのSSO設定を、カスタムSAMLアプリの作成からSCIM自動プロビジョニングまで手順で解説します。
Google WorkspaceをIDプロバイダー(IdP)にしてClaudeのSSOを設定するには、Google管理コンソールでカスタムSAMLアプリを作成します。作成したアプリに、ClaudeのWorkOSセットアップ画面が発行する値を相互に登録します。対象はTeamプラン・Enterpriseプラン・親組織を持つConsole組織です。SAML自体はどのプランでも設定できますが、SCIMによる自動プロビジョニングはEnterpriseプランと対象のConsole組織に限られます。
前提条件
作業を始める前に、次がそろっているか確認します。
- Claude側でOwnerまたはPrimary Owner権限(Team・Enterprise)、またはAdmin権限(Console)
- Google Workspace Super Admin権限
- 自社ドメインがClaudeの管理設定でドメイン検証済みであること(未検証の場合は先にドメイン検証を済ませます)
- Console組織の場合、親組織が存在すること(EnterpriseプランやTeamプランと連携していない単独のConsole組織は、営業チームに親組織の作成を依頼する必要があります)
設定値を確認する画面
手順の途中で使うACS URL・Entity ID・SCIMのエンドポイントURLとアクセストークンは、いずれもClaude側の管理画面が発行する値です。サポートに問い合わせて入手する情報ではありません。
- TeamプランとEnterpriseプランは
claude.ai/admin-settings/identityを開きます - Console組織は
platform.claude.com/settings/identityを開きます
この画面でSSOセットアップフローを開始し、Google管理コンソールと並行して開いたまま以下の手順を進めます。
ステップ1 — Google管理コンソールでカスタムSAMLアプリを追加する
- Google管理コンソールで「アプリ」→「ウェブアプリとモバイルアプリ」→「アプリを追加」→「カスタムSAMLアプリを追加」に進みます
- アプリ名を「Claude」にして「次へ」をクリックします
- IdPメタデータXMLをダウンロードします。このファイルは後でClaude側のセットアップフローにアップロードします
- 「次へ」をクリックします
ステップ2 — サービスプロバイダーの詳細を入力する
- Claude側のセットアップフローに表示されるACS URLとEntity IDを、Google管理コンソール側の該当欄に入力します
- Name ID形式を「EMAIL」に、Name IDを「基本情報 > 主要メールアドレス」に設定します
- 「次へ」をクリックします
ステップ3 — 属性マッピングを設定する
属性マッピングのステップで、Googleディレクトリ属性の「主要メールアドレス」をアプリ属性の「email」に対応させ、「完了」をクリックします。ここで指定する属性がSSOログイン時にClaudeへ送られるメールアドレスになります。
ステップ4 — SCIM自動プロビジョニングを有効にする
SCIMによる自動プロビジョニングはEnterpriseプランと対象のConsole組織のみが利用できます。Teamプランの場合はこのステップをスキップし、JIT(Just-in-Time)プロビジョニングを使います。
- アプリの設定画面で「自動プロビジョニング」セクションを開き、「自動プロビジョニングを設定」をクリックします(Google Workspace管理者設定で有効化が必要な場合があります)
- Claude側のセットアップフローに表示されるエンドポイントURLとアクセストークンを入力します
primaryEmail属性をClaude側のメールフィールドにマッピングします- プロビジョニングを有効にして保存します
ステップ5 — 対象の組織単位・グループにアプリを割り当てる
- アプリ設定で「ユーザーアクセス」をクリックします
- 対象の組織単位(OU)またはグループでアプリを有効にします
- 「保存」をクリックします
アプリを割り当てていない利用者は、SCIMで自動作成されず、SSOでのログインもできません。ここを飛ばすと「設定は済んだはずなのに誰もログインできない」という状態になりやすいポイントです。
ステップ6 — 動作確認する
- SCIMを有効にした場合、組織のメンバー一覧に対象者が自動で追加されているか確認します
- テスト用のアカウントでSSOログインを実行し、正しく組織のワークスペースに入れるか確認します
Googleのアプリ一覧から直接起動する場合の注意
同じ親組織にTeam・EnterpriseプランのClaude組織とConsole組織の両方が連携している場合、Console組織向けのIdP起動ログインには制約があります。GoogleのアプリランチャーからClaudeアイコンを直接クリックして始める方式には対応しておらず、開くと利用者は常に claude.ai 側にリダイレクトされます。Console組織へ直接ログインさせたい場合は、Google管理コンソール側に platform.claude.com/login?sso=true へのブックマークアプリを別途用意します。これをConsole用の入口として案内する回避策があります。
Team・Enterprise・Consoleでプロビジョニング方式がどう変わるか
SAMLによるSSOログイン自体は3つのプラン全てで使えますが、自動プロビジョニングの選択肢はプランによって変わります。
| プロビジョニング方式 | Team | Enterprise | Console(親組織あり) |
|---|---|---|---|
| Invite only(手動追加) | Team○ | Enterprise○ | Console(親組織あり)○ |
| JIT(初回ログイン時に自動作成) | Team○ | Enterprise○ | Console(親組織あり)○ |
| SCIM(IdP側の割り当てと自動同期) | Team× | Enterprise○ | Console(親組織あり)○(Team親組織と連携時は×) |
JITは初回ログイン時にUserロールで自動作成される最も簡単な方式で、追加設定なしにどのプランでも使えます。SCIMを使わない場合、Google Workspace側でユーザーの割り当てを解除しても、Claude側のメンバー一覧からは自動的には消えません。手動での削除が必要になる点は覚えておく価値があります。
よくあるつまずき
設定自体は難しくありませんが、つまずきは決まったパターンに集約されます。
SCIMとSAMLで異なるメールアドレスが送られる。Google Workspaceのアカウントは主要メールアドレスに加えて複数のエイリアスを持てます。SCIMの自動プロビジョニング設定とSAMLの属性マッピングはGoogle管理コンソールの別々のタブにあり、片方だけ更新してもう片方を直し忘れるミスが典型的です。両方をprimaryEmailに揃え、Name IDも「基本情報 > 主要メールアドレス」に設定し直します。属性マッピングを直しただけでは既存の登録済みアカウントは更新されないため、自動プロビジョニングを一度停止してから再度有効にし、フルの同期を走らせる必要があります。
組織作成の制限をかけないまま設定を進めてしまう。メールの不一致でSSOログインが失敗すると、組織作成を制限していない場合、利用者はClaudeの組織にはたどり着かず、代わりに個人の無料アカウントを作成してしまいます。後から気づいて属性マッピングを直しても、すでに作成された個人アカウントと、誤ったメールで登録された「ゴースト」アカウントの両方が残ります。この状態になった場合はサポートへの問い合わせでの削除が必要です。ドメイン検証が終わった時点で「組織作成を制限」のトグルを有効にしておくと、この事故を未然に防げます。
Teamプランのままステップ4でSCIM画面を探して詰まる。TeamプランにはSCIMの管理画面自体が存在しません。JITプロビジョニングで運用するか、統制機能が必要ならEnterpriseへの移行を検討します。
まとめ
Google WorkspaceでのClaude SSO設定は、カスタムSAMLアプリの作成からアプリ割り当て・動作確認まで6ステップで完了します。つまずきの大半はSAMLとSCIMのメールアドレス属性がずれることに集約されるため、primaryEmailへの統一を最初に意識しておくと手戻りが減ります。
Teamで足りるか、SCIMまでの統制機能が必要かはClaude TeamプランガイドとClaude Enterpriseプランガイドで比較できます。IdPがMicrosoft Entra IDの組織はMicrosoft Entra ID SSO設定を参照してください。Oktaの組織はOkta SSO設定が手順を扱います。SSO設定後にDesktopアプリ側の統制も組み合わせたい場合はClaude Code Desktop SSOとデバイス管理が参考になります。
よくある質問
Google Workspace側でMFA(多要素認証)を有効にしていると、Claude側の設定に影響しますか
影響しません。MFAはGoogle Workspace側の認証ポリシーであり、Claudeへの認証結果はSAMLアサーションとして渡されるだけです。Google Workspace側でMFAを必須にしている組織は、そのままSSOログインにもMFAが適用されます。
複数のドメインを1つのGoogle Workspaceに統合できますか
できます。ただし複数ドメインを検証する場合も、それらすべてを単一のIdPで管理する必要があります。別々のIdPで管理しているドメインを同じ親組織に混在させることはできません。
SSO設定を進めている最中に、既存ユーザーがログインできなくなることはありますか
ドメイン検証やSAMLアプリの設定自体は既存ユーザーのアクセスに影響しません。影響が出るのは「SSOを必須にする」設定を有効にした時点からです。この設定は動作確認が済んでからオンにすることをおすすめします。
ドメイン検証用のTXTレコードを追加してから、Verifiedと表示されるまでどのくらいかかりますか
目安は10分ですが、DNSの変更が世界中に伝播するまで24〜48時間かかることがあります。Pending表示が続く場合は「Refresh」ボタンで再チェックし、それでも変わらなければレコードが正しいホスト(ドメインのルート)に登録されているかを確認します。